Cyber Attack – Page 54 – IoT OT Security News

F5 BIG-IP の深刻な脆弱性 CVE-2022-1388 が FIX：デバイスの消去も起こり得る

Critical F5 BIG-IP vulnerability exploited to wipe devices

2022/05/10 BleepingComputer — 先日に公開された F5 BIG-IP の脆弱性は、デバイスのファイル・システムを消去し、サーバを使用不能にするという、破壊的な攻撃に悪用されかねないものである。先週に F5 は、脆弱性 CVE-2022-1388 を公開し、リモート攻撃者が認証なしで BIG-IP ネットワーク・デバイス上で、root としてコマンドを実行できる問題を示した。このバグは極めて深刻であるため、F5 は管理者に対して、可能な限り早急にアップデートを適用するよう促している。

ロシアの戦勝記念日に異変：TV 番組表の反戦メッセージと RuTube のダウン

Hacktivists hacked Russian TV schedules during Victory Day and displayed anti-war messages

2022/05/10 SecurityAffairs — ハクティビストとホワイトハッカーの集団は、ロシアによる侵略に対抗してウクライナを支援し続けているが、最近の攻撃では、ロシアのテレビを反戦メッセージで改ざんし、動画ストリーミング・サイト RuTube をダウンさせている。この攻撃は、ロシアの戦勝記念日に行われ、パレードを見ようとするロシア人に対して、テレビ番組表システムを改ざんするサイバー攻撃により、親ウクライナのメッセージを表示した。

F5 BIG-IP の深刻な脆弱性 CVE-2022-1388 が FIX：bash を狙ったバックドア展開が多発

Hackers exploiting critical F5 BIG-IP flaw to drop backdoors

2022/05/09 BleepingComputer — F5 BIG-IP の、すべてのモジュールの複数のバージョンに影響を与える、深刻な脆弱性の悪用に成功した攻撃者たちが、悪意のペイロードをドロップするという脅威が大量に発生し始めている。先週に F5 は、BIG-IP iControl の REST 認証コンポーネントに影響を及ぼす、脆弱性 CVE-2022-1388 (CVSS：9.8) に対するパッチをリリースした。

米国務省 $15 million の報奨金：Conti ランサムウェアに関する情報を求める

US offers $15 million reward for info on Conti ransomware gang

2022/05/07 BleepingComputer — 米国国務省 (Department of State) は、Conti ランサムウェア・ギャング幹部などの特定と所在確認に有効な情報に対して、最大で $15 million の報奨金を提供している。この報奨金のうち、$10 million はリーダーなどの身元や居場所に関する情報に対して、さらに $5 million はランサムウェア攻撃に関連する、逮捕や有罪につながる情報に対して提供されるという。

新たなマルウェアを検出：Windows イベントログにシェルコードを隠す高度なスティルス性

Malware campaign hides a shellcode into Windows event logs

2022/05/07 SecurityAffairs — 2022年2月に Kaspersky の研究者たちは、Windows イベントログにシェルコードを隠すという、新しいテクニックを用いた悪意のキャンペーンを発見した。このテクニックにより、ファイル無しのトロイの木馬を隠すことが可能となる。また、専門家たちは、Event Tracing (ETW) と Anti-Malware Scan Interface (AMSI) に関連する、Windows ネイティブ API 関数にパッチを当てることで、その Dropper モジュールも検出を避けていたことに気づいた。

Anonymous と Ukraine IT Army の継続的な攻撃：ロシアの政府機関などのデータをリーク

Anonymous and Ukraine IT Army continue to target Russian entities

2022/05/06 SecurityAffairs — Anonymous の集団は、ロシアの企業や政府組織に対するサイバー戦争を継続している。以下は、同集団に標的とされた組織の最新リストであり、盗まれたデータは DDoSecrets プラットフォームを介して流出している。

ウクライナ IT Army の DDoS 攻撃：ロシアのアルコール飲料ネットワークを破壊か？

Ukraine IT Army hit EGAIS portal impacting Russia’s alcohol distribution

2022/05/06 SecurityAffairs — ハクティビスト集団 Ukraine IT Army が、ロシア国内のアルコール流通の要とされる、統合国家アルコール会計情報システム (EGAIS：Unified State Automated Alcohol Accounting Information System) のポータルに対して、大規模な DDoS 攻撃を繰り返して仕掛けていることが判明した。

Heroku が語る先日の GitHub 攻撃：盗まれた OAuth トークンについて

Heroku Shares Details on Recent GitHub Attack

2022/05/06 SecurityWeek — 今週に Platform-as-a-Service 企業の Heroku は、複数の顧客の GitHub リポジトリに不正アクセスをもたらした、４月のサイバー攻撃に関する追加情報を公開した。この、2022年4月中旬に公開されたインシデントは、Heroku と Travis CI に対して発行された OAuth トークンが盗まれ、この CI (Continuous Integration) システムを使用している組織のリポジトリに、攻撃者がアクセス可能になったというものである。

CISO として考えるべき脅威検知の視点：７つの質問を用意してみた

7 threat detection challenges CISOs face and what they can do about it

2022/05/05 HelpNetSecurity — セキュリティ運用 (SecOps) チームは、新たな攻撃やマルウェアの亜種の氾濫に、さらされ続けている。最近の AV-TEST 調査によると、2021年だけで 1億7000万以上の新しいマルウェア亜種が存在している。その結果として、CISO とチームが、これらの新たな脅威を特定し、阻止するための負担は、かつてないほど高まっている。しかし、それを行おうとすると、スキル不足／データの相関関係の特定 (手作業)／誤検出の追及／長時間の調査といった、さまざまな課題に直面する。この記事では、CISO が直面している脅威検知プログラムの課題を探り、セキュリティ運用を改善するためのヒントを紹介したいと思う。

F5 BIG-IP の RCE 脆弱性 CVE-2022-1388 が FIX：16,000台のデバイスに乗っ取りの可能性

F5 warns of critical BIG-IP RCE bug allowing device takeover

2022/05/04 BleepingComputer — F5 はセキュリティ・アドバイザリを発表し、ネットワーク・アクセス権を持つ未認証の攻撃者に対して、BIG-IP 上で任意のシステム・コマンド実行や、ファイル操作、サービスの無効化などを、許してしまう欠陥について注意を促している。この脆弱性 CVE-2022-1388 の深刻度は Critical (CVSS：9.8) に分類され、悪用によりシステムを完全に乗っ取られる可能性がある。

NIST のサプライチェーン・リスク対策：Cybersecurity Supply Chain Risk Management がリリース

NIST Releases Updated Cybersecurity Guidance for Managing Supply Chain Risks

2022/05/04 TheHackerNews — 木曜日に National Institute of Standards and Technology (NIST) は、魅力的な攻撃経路としてサプライチェーンが浮上していることから、そのリスクを管理するための最新のサイバー・セキュリティ・ガイダンスを発表した。NIST は声明において、「ユーザー組織に対して推奨されるのは、利用を検討している完成品としての製品の脆弱性だけではなく、他で開発された可能性のあるコンポーネントの脆弱性についても、考える必要があるという点だ。また、それらのコンポーネントが、手元に到達するまでの道のりについても、考慮する必要がある」と述べている。

中国の APT グループ Curious Gorge：ロシアの政府／軍事／物流／製造などを狙っている

China-linked APT Curious Gorge targeted Russian govt agencies

2022/05/03 SecurityAffairs — Google の Threat Analysis Group (TAG) の報告によると、Curious Gorge として追跡されている APT グループが、中国の人民解放軍戦略支援部隊 (PLA SSF) と連携し、ロシアの政府機関を標的としているとのことだ。Google TAG チームは、東欧におけるサイバー・セキュリティ活動に焦点を当て、このレポートを発表している。専門家たちは、戦争を攻撃の誘い水として利用する、脅威アクターが増えていると警告している。また、研究者たちは、脅威アクターが重要インフラ組織を標的にすることが、増えていることを観察している。

UNC3524 という新しい APT：バックドアを仕掛けてメールを盗み出す

UNC3524 APT uses IP cameras to deploy backdoors and target Exchange

2022/05/03 SecurityAffairs — Mandiant の研究者たちが、新しい APT グループを発見し、UNC3524 として追跡している。このグループは、企業における事業計画／M&A／大規模商取引などに焦点を当て、それらの企業に所属する従業員の電子メールを標的にしている。この UNC3524 は、ターゲット・システムへのイニシャル・アクセスを獲得すると、Mandiant が QUIETEXIT と名付けた、これまでに検知されたことのないバックドアを展開する。

Google の SMTP Relay サービスを悪用するフィッシング：DMARC プロトコルでの防御が必須

Phishers exploit Google’s SMTP Relay service to deliver spoofed emails

2022/05/03 HelpNetSecurity — フィッシング詐欺師たちが、Google の SMTP Relay サービスの欠陥を悪用し、人気ブランドになりすます悪質なメールを送信している。Avanan のリサーチャーである Jeremy Fuchs によると、2022年4月から、この SMTP Relay サービスを悪用する脅威アクターが大量に発生し、他の Gmail テナントになりすますという攻撃に至っているとのことだ。

GitHub で発生した OAuth トークンの悪用：高度な標的型の性質があるという

GitHub Says Recent Attack Involving Stolen OAuth Tokens Was “Highly Targeted”

2022/05/02 TheHackerNews — クラウドベースのコード・ホスティング・プラットフォーム GitHub は、Heroku と Travis-CI に対して発行された OAuth アクセス・トークンの悪用などを含む、最近の攻撃キャンペーンについて高度な標的型の性質があると説明している。GitHub の Mike Hanley は、「この行動パターンは、攻撃者がプライベート・リポジトリのリストアップとダウンロードのために、選択したターゲットのアカウントを特定するために、対象となる組織をリストアップしていたことが示唆される」と述べている。

REvil の復活は本物：新たなマルウェア・サンプルから確認された継承の証拠とは？

REvil ransomware returns: New malware sample confirms gang is back

2022/04/30 BleepingComputer — ロシアと米国の緊張が高まる中、ランサムウェア REvil が、新たなインフラの構築と、暗号化方式の変更により、より標的を絞った攻撃を目論みながら再登場した。2021年10月に法的執行機関は、REvil ランサムウェア・ギャングの Tor サーバーを乗っ取り、その後に、ロシア当局によりメンバーが逮捕され、活動を停止した。しかし、ウクライナ侵攻の後に、米国は REvil ギャングに関する交渉プロセスから撤退し、通信手段を閉じたと、ロシア側は表明している。

ロシアのハッカー集団がルーマニアを攻撃：DDoS 攻撃で政府系サイトをダウンさせた

Russian hacktivists launch DDoS attacks on Romanian govt sites

2022/04/29 BleepingComputer — ルーマニア政府の CSIRT である DNSC は、国家機関が管理する複数の公共 Web イトを標的とした、一連の分散型サービス拒否 (DDoS) 攻撃について声明を発表した。この攻撃は、Killnet と名乗る親ロシア派グループが犯行を主張している。リクエスト数やデータ量が多い公共サイトをホストするサーバーを標的とし、実質的に処理リソースを枯渇させ、利用不能に陥らせたという。現時点においては、すべてのWeb サイトが稼動しているが、攻撃者は以下の Web サイトを標的にしたと、DNSC は発表している。

JPCERT の EmoCheck が Emotet 64-bit に対応：簡単な操作でマルウェアを検出

EmoCheck now detects new 64-bit versions of Emotet malware

2022/04/28 BleepingComputer — 今月から感染が検出され始めたマルウェア Emotet の、64 Bit 版を検出するユーティリティ EmoCheck の新バージョンが、JPCERT からリリースされた。Emotet は、Word・Excel 文書／Windows ショートカット／ISO ファイル／パスワードで保護されたZIPファイルなどの、悪意の添付ファイルを含んだフィッシング・メールを介して、最も活発に配布されているマルウェアの１つである。これらのフィッシング・メールは、返信用チェーンメール／出荷通知／税務書類／会計報告書／ホリデーパーティ招待状などによりユーザーを騙し、ファイルを開かせるための独創的な誘い文句を使用している。

ランサムウェアの調査：全体的な損失の約 15% が身代金の平均値

Ransom payment is roughly 15% of the total cost of ransomware attacks

2022/04/28 BleepingComputer —ランサムウェアの攻撃がもたらす副次的な影響について、研究者たちが分析したところ、脅威アクターが要求した身代金の約７倍ものコストが掛かることが判明した。これらのコストには、インシデント対応作業／システムの復旧／弁護士費用／モニタリングなどに加えて、ビジネスの中断による全体的な経済的負担が含まれる。一般的に、ランサムウェア攻撃では、企業からデータが盗み出され、システムが暗号化されることで、被害者に圧力が掛かることで、ファイルを復号するための費用を支払い、データ漏洩を回避することになる。

インド政府のムチャブリ：インシデント検知の６時間後には CERT-In に報告せよ！

Indian Govt Orders Organizations to Report Security Breaches Within 6 Hours to CERT-In

2022/04/28 TheHackerNews — 木曜日にインドのコンピュータ緊急対応チームである CERT-In は、サービスプロバイダ／仲介業者／データセンター／政府機関に対して、データ漏洩を含むサイバーセキュリティ・インシデントの検知後６時間以内での報告を義務化する新しいガイドラインを発表した。

Bumblebee という新たなマルウェア：TrickBot／BazaLoader 系で最凶か？

Cybercriminals Using New Malware Loader ‘Bumblebee’ in the Wild

2022/04/28 TheHackerNews — これまでマルウェア・キャンペーンにおいて、サイバー犯罪者たちが BazaLoader と IcedID を配信してきたことは確認されているが、現在では Bumblebee という、活発に開発されている新しいローダーに移行したと言われている。エンタープライズ・セキュリティ企業である Proofpoint が The Hacker News と共有したレポートには、「Bumblebee が脅威の現場に現れたタイミングや、複数のサイバー犯罪グループにより使用されていることから、BazaLoader の直接の代替品ではないにしても、他のマルウェアを好んでいた脅威アクターたちが好んで使用する、新しい多機能ツールが登場したと思われる」と記されている。

Google Play 2021年の奮闘記：120 万件の悪質アプリをブロックしたけど・・・

1.2 Million Bad Apps Blocked From Reaching Google Play in 2021

2022/04/28 SecurityWeek — 2021年の Google は、Google Play にエントリーされた、120万件の悪質なアプリをブロックしたと主張している。しかし、依然としてサイバー犯罪者たちは、公式 Android アプリ・ストアを介して、マルウェアを配信する方法を見つけ出そうとしている。水曜日に Google が共有したデータによると、同社の自動化されたシステムにより、ポリシー違反アプリ 120万件がブロックされ、Google Play への公開が阻止され、数十億件の有害なインストールが防止されたようだ。

Log4j 問題は収束していない：セキュリティというよりインベントリの問題？

Log4j Attack Surface Remains Massive

2022/04/27 DarkReading — Apache Log4j logging toolの、リモートコード実行の脆弱性が公開されて４ヶ月以上が経ったが、そを悪用しようとする攻撃者は、依然として膨大な数のターゲットを手にしている。検索エンジン Shodan を用いて行った、Rezilion による最新のスキャンでは、このソフトウェアの脆弱なバージョンをインターネット上に公開している、９万台以上ものサーバーが発見されている。ただし、この数字は、オープンソース・ソフトウェアを実行して、一般に公開されているサーバーのみを対象としているため、攻撃者のターゲットの一部に過ぎないと、Rezilion は考えている。

API セキュリティの調査：悪意の API トラフィックが７倍に急増

API Attacks Soar Amid the Growing Application Surface Area

2022/04/27 DarkReading — アジャイル開発の普及に伴い、Web API の利用が劇的に増加し、ソフトウェア関連企業における攻撃面積が拡大したことで、より脆弱な状態へと陥っている。最近の２つのレポートによると、平均的な企業における API 保有数は 15,600 を数え、この１年で３倍増となり、トラフィック量は４倍増の 8億2000万リクエスト／年に達しているとのことだ。

ドイツの風力発電機大手 Deutsche Windtechnik：標的型サイバー攻撃に遭う

Wind Turbine giant Deutsche Windtechnik hit by a professional Cyberattack

2022/04/27 SecurityAffairs — ドイツの風力発電機大手 Deutsche Windtechnik は、今月の上旬に同社システムの一部が、標的型プロフェッショナル・サイバー攻撃を受けたと発表した。この攻撃は 4月11日から12日の夜間にかけて行われ、同社はセキュリティ上の理由から、風力タービンへのリモート・データ・モニタリング接続を停止した。2日後に接続が再開されたが、同社は風力タービンに被害はなく、危険な状態にはならなかったと述べている。

Conti の活動がピーク値に戻る：逆リークを跳ね除けて被害者を増やしている？

Conti ransomware operations surge despite the recent leak

2022/04/27 SecurityAffairs — Secureworks の研究者たちは、ロシアを拠点とする脅威アクター Gold Ulrick として追跡されている Conti ランサムウェアについて、内部活動に関するデータリークにもかかわらず、活発に活動し続けていると述べている。このグループの、通信内容／ソースコード／運用情報などが公開されたが、その活動は 2021年に記録したピーク・レベルへと戻っている。

Cloudflare を襲った史上最大の HTTPS DDoS：1530万 RPS を防ぎ切った

Cloudflare Thwarts Record DDoS Attack Peaking at 15 Million Requests Per Second

2022/04/27 TheHackerNews — 水曜日に Cloudflare は、1530万リクエスト／秒 (RPS) の分散型サービス拒否 (DDoS) 攻撃を緩和するために行動したと明らかにした。この、Web インフラと Web サイト・セキュリティの企業は、この攻撃を “史上最大の HTTPS DDoS 攻撃 ” の１つだと呼んでいる。Cloudflare の Omer Yoachimik と Julien Desgats は、「HTTPS DDoS 攻撃では、安全な TLS 暗号化接続の確立コストが高いため、必要な計算機リソースの面で高価になる。そのため、攻撃を仕掛ける側も、攻撃を軽減する側も、より多くのコストが掛かる」と述べている。

NSA／FBI が警告する 2021年の脆弱性：日常的に悪用され続けた Top-15 とは？

Cybersecurity agencies reveal top exploited vulnerabilities of 2021

2022/04/27 BleepingComputer — 世界中のサイバー・セキュリティ機関が NSA／FBI と共同で、2021年に脅威アクターが日常的に悪用した脆弱性の、Top-15 リストを発表した。共同アドバイザリーにおいて、これらのサイバー・セキュリティ機関は、一連のセキュリティ欠陥に対して速やかにパッチを適用し、攻撃対象領域を減らすためのパッチ管理システムを導入するよう促している。

Emotet の新戦術：Windows ショートカット・ファイル内の PowerShell を介して展開される

Emotet malware now installs via PowerShell in Windows shortcut files

2022/04/26 BleepingComputer — 現時点における Emotet ボットネットは、PowerShell コマンドを取り込んだ Windows ショートカット・ファイル (.LNK) を介して、被害者のコンピュータを感染させるという戦術をとっている。つまり、現在はデフォルトで無効になっている Microsoft Office マクロから、新たな作戦へと移行している。これまでも、Emotet は Visual Basic Script (VBS) と .LNK ファイルを組み合わせて、ペイロードをダウンロードするコマンドを構築したので、Windows ショートカットの使用は目新しいものではない。しかし、それにより PowerShell コマンドを、ダイレクトに実行したのは今回が初めてとなる。

米政府が $10M の報奨金：ロシア軍将校ハッカー６人の情報を集め始める

U.S. Offers $10 Million Bounty for Information on 6 Russian Military Hackers

2022/04/26 TheHackerNews — 火曜日に米国政府は、ロシア軍情報機関に関連する６人のハッカーの情報を集めるために、最高で $10 million の報奨金を支払うと発表した。国務省の Rewards for Justice Program プログラムは、「これらの人物は、米国の重要インフラを攻撃する、ロシア政府のための悪意のサイバー活動に参加し、Computer Fraud and Abuse Act に違反した」と述べている。

Coca-Cola を侵害したと主張する Stormous：親ロシア派のハッカーか？

Coca-Cola investigates hackers’ claims of breach and data theft

2022/04/26 BleepingComputer — 世界最大の清涼飲料メーカーである Coca-Cola は、同社のネットワークへのサイバー攻撃に関する報道を認識しており、その主張については調査中であると、BleepingComputer への声明で述べている。Stormous ギャングが、同社の一部のサーバーへの侵入に成功し、161GB のデータを盗み出した発表したことを受け、Coca-Cola は調査を開始した。

WSO2 の RCE 脆弱性：ワイルドな悪用が観察されているので要注意

Organizations Warned of Attacks Exploiting WSO2 Vulnerability

2022/04/26 SecurityWeek — 企業向けソフトウェア開発ソリューション・プロバイダーである WSO2 の製品だが、その深刻な脆弱性が野放し状態の攻撃にさらされている。WSO2 の Web サイトによると、同社の製品は Fortune 500 などの大手企業で使用されており、そのすべてが危険にさらされる可能性があるという。また、月曜日には Cybersecurity and Infrastructure Security Agency (CISA) も、この脆弱性を Known Exploited Vulnerabilities Catalog に追加し、5月16日までにパッチを適用するよう、それぞれの連邦政府機関に指示している。

Log4Shell の現状調査：いまだに山積する問題と解決できない理由とは？

Public interest in Log4Shell fades but attack surface remains

2022/04/25 BleepingComputer — Apache Log4j ライブラリに存在する、深刻なゼロデイ脆弱性 Log4Shell が発見されてから４ヶ月が経過したが、利用可能なはずの修正プログラムの適用が、依然として大幅に遅れていることを、脅威アナリストたちは警告している。世間の関心と情報セキュリティ・コミュニティの焦点は、より新しい脆弱性の悪用などに移っているが、Log4Shell は引き続き大規模な問題であり、重大なセキュリティ・リスクであることに変わりはない。

CISA 警告 4/25：WSO2／Microsoft／Linux／Jenkins などの７つの脆弱性が追加

CISA adds 7 vulnerabilities to list of bugs exploited in attacks

2022/04/25 BleepingComputer — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されている脆弱性のリストに、Microsoft／Linux／Jenkins などの、７件の欠陥を追加したと発表した。その Known Exploited Vulnerabilities Catalog は、サイバー攻撃で活発に悪用されている脆弱性のリストで、連邦政府民間行政機関 (FCEB) に対してパッチ適用が義務付けられているものである。

Emotet の新たな戦略：Microsoft による VBA マクロ制限への対抗策を試している？

Emotet Testing New Delivery Ideas After Microsoft Disables VBA Macros by Default

2022/04/25 TheHackerNews — 大量の Emotet ボットネットを振りまく脅威アクターは、大規模な Malspam キャンペーンに取り込むための、新しい攻撃手法を小規模にテストしており、Microsoft が VBA マクロをデフォルトで無効にしたことに対して、素早く反応している可能性が浮上している。ProofPoint は、このグループの新しい活動を、典型的な行動からの逸脱だと指摘している。つまり、マルウェアを配布するための最新のフィッシング・メールは、典型的な大規模メール・キャンペーンと並行して、より選択的かつ限定的な攻撃を行うものだという、新たな視点を提起している。

VMware の深刻な RCE 脆弱性 CVE-2022-22954：イランからのバックドア展開を検出

Iranian Hackers Exploiting VMware RCE Bug to Deploy ‘Core Impact’ Backdoor

2022/04/25 TheHackerNews — 先日にパッチが適用された VMware の脆弱性を悪用する、Rocket Kitten というイランに関連する脅威アクターが、脆弱なシステムにイニシャル・アクセスを仕掛け、Core Impact ペンテスト・ツールを展開する様子が観察されている。この深刻な脆弱性 CVE-2022-22954 (CVSS：9.8) は、VMware Workspace ONE Access and Identity Manager に影響を与える、リモートコード実行 (RCE) の欠陥に起因するものだ。

ゼロデイ脆弱性調査 2021：悪用の件数は前年比で２倍以上に！

Zero-Day Exploit Use Exploded in 2021

2022/04/22 DarkReading — 2021年の脅威アクターたちは、これまでと比べて数多くのゼロデイ脆弱性を悪用しているが、その大半で Microsoft／Google／Apple のソフトウェアが対象にされている。これまでと同様に、国家に支援された APT (advanced persistent threat) アクターたちが、これらのゼロデイ脆弱性を最も活発に悪用している。また、ランサムウェア運営者などの、金銭的な動機のあるグループもゼロデイ攻撃を急増させ、攻撃者の３人に１人を占めている。

BlackCat RaaS について FBI が警告：全世界で 60の組織が侵害されている

BlackCat Ransomware gang breached over 60 orgs worldwide

2022/04/22 SecurityAffairs — 米国連邦捜査局 (FBI) は、2021年11月に活動を開始した BlackCat ランサムウェア (別名：ALPHV／Noberus) により、少なくとも全世界で 60 の事業体が侵害されたとする Flash Report を公開した。同組織はアドバイザリで、世界中で少なくとも 60 の事業体に侵入した Ransomware-as-a-Service である、BlackCat／ALPHV などによる攻撃に関連する、主要な Indicators Of Compromise (IOCs) を Flash Report で発表した。ユーザーおよび管理者が、FBI Flash CU-000167-MW の IOC と技術的な詳細を確認し、推奨される緩和策を適用することを推奨していると、CISA は述べている。

API セキュリティの調査：この１年間で41% の企業がインシデントを経験している

41% of businesses had an API security incident last year

2022/04/22 HelpNetSecurity — デジタル・トランスフォーメーションの波を受け、Web／Mobile ベースの統合型サービスが台頭し、製品間のデータ共有が大幅に増加したことで、Web API は急激な成長を遂げた。API への依存度が高まるにつれ、認証や認可の不備や、データの偶発的な漏洩や侵害など、API に関連するセキュリティ上の課題も増えている。

Motorola が Public Safety Threat Alliance を設立：CISA との連携も視野に

Motorola Launches Cyber Threat Information Sharing Hub for Public Safety

2022/04/22 SecurityWeek — 今週に Motorola Solutions が発表した Public Safety Threat Alliance (PSTA) は、公共安全コミュニティのためのサイバー脅威情報共有ハブとなるものだ。Motorola は、この PSTA について、情報共有分析組織 (ISAO：Information Sharing and Analysis Organization) であると説明し、重要インフラのセキュリティと回復力を国家として推進する、Cybersecurity and Infrastructure Security Agency (CISA) により公認されていると指摘している。

VMware のレポート Modern Bank Heists：金融機関への破壊的な攻撃が増加

Financial leaders grappling with more aggressive and sophisticated attack methods

2022/04/21 HelpNetSecurity — VMware が発行したレポートは、金融業界のトップ CISO やセキュリティ・リーダーを対象に、サイバー犯罪カルテルの行動変化と、金融業界の守りのシフトについてまとめたものだ。このレポートによると、高度なサイバー犯罪組織の活動は、振り込め詐欺にとどまらず、市場戦略や証券口座の乗っ取りや、アイランド・ホッピングなどへと進化を遂げている。したがって、金融機関は破壊的な攻撃の増加に直面し、ランサムウェアの被害についても、過去数年に比べて増えていることが明らかになった。

T-Mobile の内部システムを Lapsus$ がハッキング：盗み出された認証情報で侵入？

T-Mobile confirms Lapsus$ hackers breached internal systems

2022/04/21 BleepingComputer — T-Mobile が確認したことは、恐喝組織 Lapsus$ が盗んだ認証情報を使って、数週間前に同社のネットワークに侵入し、内部システムにアクセスしたことである。T-Mobile は、セキュリティ侵害を発見した後に、このサイバー犯罪グループによるネットワークへのアクセスを遮断し、ハッキングに用いられた認証情報を無効にしたと付け加えている。また、このインシデントで、Lapsus$ で顧客や政府の機密情報を盗むことはなかったという。

Linux 上の Docker API 狙う暗号マイナー・マルウェア Lemon_Duck とは？

Docker servers hacked in ongoing cryptomining malware campaign

2022/04/21 BleepingComputer — Linux サーバ上の Docker API が、Lemon_Duck ボットネット・オペレーターによる、大規模な Monero 暗号キャンペーンの標的になっている。このクリプトマイニング・マイニング集団は、セキュリティが不十分な Docker システムや、ミス・コンフィグレーションのある Docker システムにとって常に脅威であり、近年では複数の大規模なエクスプロイト・キャンペーンが報告されている。

Amazon の Log4Shell ホットパッチに問題：コンテナ・エスケープと権限昇格が生じる？

Amazon’s Hotpatch for Log4j Flaw Found Vulnerable to Privilege Escalation Bug

2022/04/21 TheHackerNews — Amazon Web Services (AWS) がリリースした Log4Shell 脆弱性に対するホットパッチだが、コンテナ・エスケープや権限昇格に悪用され、基盤となるホスト制御の乗っ取りを許してしまう問題があるようだ。Palo Alto Networks Unit 42 の研究者である Yuval Avrahami は、今週に発表したレポートにおいて、「コンテナの問題以外にも、このパッチを悪用することで非特権プロセスを特権昇格させ、root コードを実行させることが可能だ」と述べている。

Microsoft Exchange をハックする Hive ランサムウェア：新たな攻撃手法で被害を拡大

Microsoft Exchange servers hacked to deploy Hive ransomware

2022/04/20 BleepingComputer — Hive ランサムウェアのアフィリエイトが、ProxyShell のセキュリティ問題に対して脆弱な Microsoft Exchange サーバーを標的として、Cobalt Strike ビーコンなどの様々なバックドアを展開している。この脅威アクターは、そこからネットワークを偵察し、管理者アカウントの認証情報を盗み、貴重なデータを流出させ、最終的にはファイル暗号化ペイロードを展開する。この情報は、セキュリティ分析を行う Varonis が、同社の顧客に対するランサムウェア攻撃を調査した際に得られたものである。

サイバー攻撃の初期感染：脆弱性悪用とサプライチェーン侵害が 50% 以上を占める

More Than Half of Initial Infections in Cyberattacks Come Via Exploits, Supply Chain Compromises

2022/04/20 DarkReading — Mandiant が実施した Incident Response (IR) 調査の最新レポートによると、攻撃者が被害者のネットワーク上で検知されずにいる日数は４年連続で減少し、2020年の 24日間から 2021年の 21日間へと短縮していることが明らかになった。この、Mandiant の IR 事例によると、最も危険な攻撃を素早く見つけるための検知能力は高まり、ランサムウェアは平均５日以内に検知され、ランサムウェア以外の攻撃は 2020年の45日間から 2021年の36日間へと短縮され、アクティブな状態を維持しているとのことだ。

REvil の TOR サイトが動き出した：新たなランサムウェア運用が始まるのか？

Russia,REvil’s TOR sites come alive to redirect to new ransomware operation

2022/04/20 BleepingComputer — REvil ランサムウェアのサーバーが、数ヶ月ぶりに TOR ネットワーク内で復活し、2021年12月中旬から開始されたと思われる、新しいオペレーションへとリダイレクトされている。REvil に関連する新しいオペレーションの背後にいる人物は不明だが、この新しいリークサイトには、過去の REvil 攻撃での被害者を示す大規模なカタログと、新しい２件の攻撃の被害者がリストアップされている。

ロシアの Gamaredon はウクライナを狙い続ける：永続性を維持する APT の仕組みとは？

Russian Gamaredon APT continues to target Ukraine

2022/04/20 SecurityAffairs — ロシアに帰属する Gamaredon APT グループ (別名：Armageddon／Primitive Bear／ACTINIUM) は、ウクライナをターゲットにした攻撃を続けており、カスタムな Pterodo バックドア (別名：Pteranodon) の亜種を用いているとのことだ。2021年10月以降に発生している、ウクライナの団体や関連組織を標的とした一連のスピアフィッシング攻撃の背後に、このサイバースパイ・グループが存在すると Microsoftは述べている。なお、2014年ころから Gamaredon は、ウクライナに対するサイバースパイ・キャンペーンを展開している。

Anonymous のロシア攻撃：軍事／金融／エネルギーなどのメールを大量にリーク

Anonymous hacked other Russian organizations, some of the breaches could be severe

2022/04/20 SecurityAffairs — Anonymous と、この有名な集団と連携する複数のグループは、ロシアの組織をターゲットにし続けている。そして、ハクティビスト集団は、多数のシステムを突破し、盗み出したデータをオンラインでリークしている。

CISA 警告 4/19：悪用脆弱性リストに Windows Print Spooler バグなどを追加

CISA warns of attackers now exploiting Windows Print Spooler bug

2022/04/19 BleepingComputer — Cybersecurity and Infrastructure Security Agency (CISA) は、積極的に悪用されるバグのリストに、Windows Print Spooler におけるローカル権限昇格バグを含む、３つの新たなセキュリティ不具合を追加した。この深刻度 High の脆弱性 CVE-2022-22718 は、Microsoft アドバイザリーによると、すべての Windows バージョンに影響を与えるものであり、February 2022 Patch Tuesday でパッチが適用されている。